Politica de confidențialitate

Swap Group Kft. (denumită în continuare Operatorul sau noi), în calitate de administrator al site-urilor carswap.ro, carswap.hu, carswap.sk, carswap.pl și carswap.at, care funcționează pe un sistem comun (denumite în continuare Platforma), te informează mai jos ce date cu caracter personal prelucrăm, în ce scop, în ce temei juridic, cât timp, cui le transmitem și ce drepturi ai. Informarea se face potrivit Regulamentului (UE) 2016/679 (GDPR) și Legii nr. 190/2018 privind măsuri de punere în aplicare a Regulamentului (UE) 2016/679.

1. Operatorul

• Denumire: Swap Group Korlátolt Felelősségű Társaság (Swap Group Kft.)
• Sediu: 1039 Budapesta, Álmos utca 3, Ungaria
• Nr. registrul comerțului: 01-09-423632, cod de TVA: HU32429073
• E-mail (și pentru protecția datelor): swapgroupkft@gmail.com, telefon: +36 30 599 0290

Nu avem obligația de a desemna un responsabil cu protecția datelor și nu am desemnat. Operatorul nu este stabilit în România; sediul său principal și autoritatea de supraveghere principală sunt în Ungaria (punctul 14).

2. Principii și temeiuri juridice

Prelucrăm doar datele necesare scopului și doar cât timp este necesar. Temeiurile juridice (art. 6 alin. (1) GDPR): (a) consimțământul (poate fi retras oricând, fără a afecta legalitatea prelucrării anterioare); (b) executarea unui contract sau demersurile premergătoare; (c) o obligație legală; (f) interesul legitim (în acest caz am evaluat că interesul nostru nu afectează disproporționat drepturile tale; la cerere îți comunicăm evaluarea, iar tu te poți opune prelucrării). Nu luăm decizii automatizate și nu creăm profiluri.

3. Vizitarea Platformei

3.1. Jurnale tehnice. Scop: funcționarea și securitatea Platformei, respingerea atacurilor. Date: adresa IP, ora, pagina accesată, tipul browserului și al dispozitivului (user agent). Temei: interes legitim (f). Cererile sunt transmise și filtrate de Cloudflare (punctul 11). Păstrare: jurnalele serverului 14 zile. Jurnalul de evenimente al anumitor operațiuni (publicarea anunțurilor, autentificare, trimiterea de mesaje etc.) este descris la punctul 10/A.

3.2. Statistici anonime de vizitare (fără cookie-uri). Scop: să măsurăm câți vizitatori văd fiecare pagină. Pentru fiecare zi generăm o valoare aleatorie („sare”) și calculăm, din adresa IP, tipul browserului și sarea zilnică, un identificator unidirecțional (ireversibil); nu stocăm adresa IP brută și datele browserului. Sarea zilnică și identificatorii se șterg în fiecare noapte (există cel mult aproximativ 24 de ore), după care rămân doar cifre agregate, care nu pot fi asociate unei persoane (afișări de pagini, tip de dispozitiv, domeniul site-ului de proveniență). Temei: interes legitim (f).

3.2/A. Măsurarea reclamelor din liste (fără cookie-uri). Imaginile promoționale afișate între vehicule cu mențiunea „Reclamă” sunt văzute la fel de toți vizitatorii: nu le alegem pe baza datelor vizitatorului, nu realizăm profilare și nu folosim personalizare. Scop: statistica agregată transmisă beneficiarului reclamei (de câte ori a fost afișată, câți vizitatori diferiți au văzut-o, de câte ori s-a dat clic pe ea). Considerăm afișare situația în care cel puțin jumătate din reclamă a fost pe ecran cel puțin o secundă. Pentru numărarea „vizitatorilor diferiți” folosim identificatorul zilnic unidirecțional de la punctul 3.2, care se șterge în fiecare noapte; beneficiarul primește doar cifre agregate pe zile, site-uri și tip de dispozitiv, nu date personale. La clic, site-ul beneficiarului se deschide într-o filă nouă; la link adăugăm doar faptul că vizita provine de pe CARSWAP și din ce listă (parametri UTM). Pe site-ul beneficiarului se aplică politica sa de confidențialitate. Temei: interes legitim (f).

3.3. Cookie-uri și tehnologii similare. Detaliile (ce, în ce scop, cât timp, cu sau fără consimțământ) se găsesc în Politica de cookie-uri. Pe scurt: cookie-urile necesare funcționării (autentificare, securitate, alegerea ta privind cookie-urile, Google Maps) le folosim fără consimțământ, iar statisticile (Google Analytics), funcțiile de confort și marketingul (pixelul Meta, Google Ads) numai cu consimțământul tău.

3.4. Google Maps și căutarea adreselor. Locul vehiculelor și al partenerilor este afișat de Google Maps, iar la publicarea unui anunț căutarea adreselor Google (Places) ajută la indicarea locației. Fără aceste funcții, Platforma nu poate arăta unde se află vehiculul, de aceea le încărcăm ca parte a serviciului, fără consimțământ. În acest caz browserul tău se conectează direct la Google, care primește adresa IP și datele browserului, textul introdus în căutarea adreselor și poate plasa cookie-uri pe propriul domeniu. Temei: interes legitim (f) și executarea contractului (b). Destinatar: Google Ireland Ltd. (punctul 11).

3.5. Pixelul Meta și Conversions API (cu consimțământ). Dacă în fereastra privind cookie-urile accepți categoria „Marketing”, se încarcă pixelul Meta propriu al site-ului de țară respectiv (carswap.hu, .ro, .sk, .pl, .at). Scop: măsurarea efectului reclamelor noastre difuzate pe Facebook și Instagram, optimizarea reclamelor, precum și afișarea de reclame persoanelor care au vizitat Platforma (remarketing). Date: datele browserului și ale dispozitivului, adresa IP, adresa paginii accesate, identificatorii cookie-urilor _fbp/_fbc și evenimentele enumerate la punctul 7 din Politica de cookie-uri (de ex. identificatorul și prețul anunțului vizualizat, căutarea, suma achiziției). Dacă și la inițierea plății consimțământul tău este în vigoare, achiziția reușită este transmisă către Meta și de serverul nostru (Conversions API): în acest caz adresa ta de e-mail, numărul de telefon, numele și identificatorul de client sunt transmise doar codificate prin criptare unidirecțională (hash SHA-256), împreună cu adresa IP, datele browserului și suma achiziției; Meta contabilizează cele două semnale ca unul singur. Nu transmitem niciodată parole, date ale cardului sau mesaje. Temei: consimțământ (a), pe care îl poți retrage oricând prin linkul „Setări cookie-uri” din subsolul paginii; retragerea nu afectează legalitatea prelucrării efectuate înainte de aceasta. Operatori asociați: în ceea ce privește colectarea datelor și transmiterea lor către Meta, Operatorul și Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, D04 X2K5, Irlanda) sunt operatori asociați (art. 26 GDPR, potrivit condițiilor „Controller Addendum” ale Meta); pentru prelucrarea care urmează transmiterii (de ex. direcționarea reclamelor) Meta răspunde în mod independent, aceasta fiind descrisă în politica de confidențialitate a Meta (facebook.com/privacy/policy). Îți poți exercita drepturile atât față de Operator, cât și față de Meta. Păstrare: cookie-urile sunt valabile 90 de zile; Meta păstrează datele potrivit propriei politici. Transfer către SUA: către Meta Platforms, Inc., pe baza deciziei de adecvare privind Cadrul UE–SUA pentru protecția datelor (Data Privacy Framework).

3.6. Măsurarea evenimentelor în Google Analytics și Google Ads (cu consimțământ). Dacă în fereastra privind cookie-urile accepți categoria „Statistice”, Google Analytics măsoară, pe lângă vizite, și evenimentele enumerate la punctul 6 din Politica de cookie-uri (de ex. identificatorul și prețul anunțului vizualizat, căutarea, manifestarea interesului, înregistrarea, inițierea plății, suma achiziției). Dacă și la inițierea plății acest consimțământ este în vigoare, achiziția reușită este transmisă către Google Analytics și de serverul nostru (Measurement Protocol), împreună cu identificatorul de browser Google Analytics (cookie-ul _ga), identificatorul vizitei și suma achiziției; Google contabilizează cele două semnale ca unul singur. Dacă accepți și categoria „Marketing”, contul nostru Google Ads asociat contului nostru Google Analytics poate folosi aceste evenimente drept conversii pentru măsurarea și optimizarea reclamelor noastre și poate afișa reclame persoanelor care au vizitat Platforma (remarketing, semnale Google); în acest caz, la achiziție adresa ta de e-mail ajunge la Google doar codificată prin criptare unidirecțională (hash SHA-256) (conversii optimizate). Fără consimțământul pentru marketing, Google nu poate folosi aceste date în scopuri publicitare (Consent Mode: ad_user_data, ad_personalization refuzate). Nu transmitem niciodată parole, date ale cardului sau mesaje. Temei: consimțământ (a), pe care îl poți retrage oricând prin linkul „Setări cookie-uri” din subsolul paginii. Destinatar: Google Ireland Ltd. (punctul 11); pentru măsurarea Analytics în calitate de persoană împuternicită, iar pentru prelucrarea în scopuri publicitare din Google Ads în calitate de operator independent, potrivit propriilor condiții ale Google pentru operatori. Păstrare: în Google Analytics cel mult 14 luni; în Google Ads potrivit propriei politici a Google. Transfer către SUA: către Google LLC, în baza Cadrului UE–SUA pentru protecția datelor (Data Privacy Framework).

4. Înregistrarea și contul de utilizator

Scop: crearea și administrarea contului, furnizarea serviciului, comunicarea. Date: numele și prenumele, numărul de telefon, adresa de e-mail, parola (numai în formă criptată, ireversibilă), indicația WhatsApp/Viber, indicația „Sunt dealer”, țara și limba (după site-ul pe care te-ai înregistrat), setarea notificărilor de mesaje, momentul și versiunea acceptării Termenilor, fotografia de profil (dacă o încarci), ultima locație folosită pentru anunțuri și coordonatele ei, codul poștal indicat pentru funcția de distanță, momentul creării și al modificării contului. La autentificarea cu Google, în plus identificatorul contului Google (de la Google primim numele și adresa de e-mail; nu stocăm fotografia de profil). La o cerere de modificare a numărului de telefon: numărul vechi și cel nou solicitat, motivul, decizia, eventuala ei motivare și datele (până la ștergerea contului). Dacă activezi autentificarea în doi pași: cheia secretă a aplicației de autentificare (criptată), codurile de recuperare (numai în formă ireversibilă) și momentul activării; la dezactivare acestea se șterg. Temei: executarea contractului (b). Păstrare: până la ștergerea contului; înregistrarea neconfirmată în 30 de zile se șterge automat. Tokenurile de autentificare sunt valabile 7 zile, cele expirate se șterg zilnic; linkul de resetare a parolei este valabil o oră și se șterge după o zi.

La ștergerea contului ștergem anunțurile, imaginile, favoritele, pagina de partener, evaluările scrise de tine și cele despre tine, abonarea la newsletter, datele de abonament și de plată, precum și conversațiile (și din partea celeilalte persoane). Rămân: facturile emise (8 ani, obligație legală), raportările tale (fără identificatorul tău), precum și ofertele de schimb și cererile de vizionare trimise altora, până la termenele de mai jos. La momentul ștergerii se creează arhiva pentru autorități de la punctul 10/A (cu datele contului, anunțurile și toate conversațiile), păstrată 12 luni. La cerere, ștergem și cardul și datele de client salvate la Stripe.

5. Anunțuri

Scop: publicarea anunțului, punerea în legătură a anunțătorului cu persoanele interesate. Date: datele, imaginile, descrierea, prețul și locul vehiculului; datele publice ale anunțătorului (punctul 7.4 din Termeni): prenumele (la dealeri numele complet), mențiunea, WhatsApp/Viber, numărul de telefon parțial mascat și (dacă a ales astfel) adresa de e-mail. Datele de contact complete le dezvăluim doar după verificarea anti-robot (Cloudflare Turnstile: adresa IP a vizitatorului și un token de verificare). Identificatorii nepublici ai vehiculului (seria de șasiu, seria motorului, actele) sunt vizibili doar anunțătorului și Operatorului. Din imagini eliminăm metadatele. Temei: executarea contractului (b). Păstrare: până la ștergerea anunțului; arhiva creată la ștergere, potrivit punctului 10/A, încă 12 luni.

Statistici pentru vânzători și rezumat săptămânal. În Garajul tău îți arătăm, pentru fiecare anunț, câte persoane l-au vizualizat (un vizitator contează o dată pe zi), de câte ori a fost afișat contactul tău complet, câți l-au marcat ca favorit și câte mesaje noi și oferte de schimb ai primit. Numărăm fără date cu caracter personal: nu identificăm vizitatorii, păstrăm doar numărul zilnic. Luni dimineața – dacă anunțurile tale au fost vizualizate în săptămâna trecută – îți putem trimite prin e-mail un rezumat al acestor cifre și te anunțăm dacă un anunț a fost văzut de mulți, dar nimeni nu te-a contactat. Temei juridic: interes legitim (f) – te informăm despre performanța anunțului; poți renunța oricând la e-mail din Garaj sau cu linkul din mesaj. Cifrele zilnice le păstrăm cel mult până la ștergerea anunțului.

Timpul de răspuns pe anunțurile tale. Pe pagina anunțurilor tale, în cardul vânzătorului, arătăm în cât timp răspunzi de obicei la mesaje (de exemplu „Răspunde de obicei în câteva ore”). Îl calculăm din conversațiile ultimelor 120 de zile: din valoarea mediană a timpului scurs între primul mesaj al persoanei interesate și primul tău răspuns, și îl afișăm doar dacă ai avut cel puțin 3 astfel de conversații. Nu colectăm date noi pentru aceasta, folosim marcajele de timp existente ale mesajelor; valoarea calculată o păstrăm temporar cel mult 6 ore. Temei juridic: interes legitim (f) – astfel persoanele interesate știu când se pot aștepta la un răspuns. Poți dezactiva oricând afișarea în Garajul tău, din opțiunea „Arată pe anunțurile mele în cât timp răspund de obicei la mesaje”.

Evaluări. După autentificare, poți scrie o evaluare despre un partener, un dealer sau un vânzător privat (despre un dealer sau un vânzător privat doar dacă ați schimbat mesaje pe Platformă). Păstrăm numărul de stele, titlul și textul, numele tău așa cum apare pe evaluare (prenumele și inițiala numelui de familie), adresa ta de e-mail (nu este publică), conversația pe baza căreia ai putut-o scrie, precum și pașii evaluării și momentul lor (notificare, acceptare, contestație, decizie, mesajele colegilor noștri, răspuns). Evaluarea este trimisă mai întâi celui evaluat, prin e-mail și în Profilul său; acesta o poate accepta sau contesta timp de 3 zile, iar motivul și textul contestației sunt și ele păstrate; asupra contestației decide un coleg de-al nostru. Dacă nu reacționează, evaluarea este publicată: oricine o poate vedea cu numele tău, data și eventualul răspuns public al celui evaluat. Temei juridic: pentru evaluarea ta, executarea contractului (b); pentru datele celui evaluat, soluționarea contestației și afișarea evaluării, interes legitim (f) – informarea cumpărătorilor și filtrarea evaluărilor false sau ilegale. Păstrare: până când ștergi evaluarea, cel târziu până la ștergerea contului celui care a scris-o sau al celui evaluat; o evaluare eliminată o păstrăm 6 luni, pentru o eventuală plângere împotriva deciziei, apoi o ștergem. Solicitarea unei evaluări: dacă ai schimbat mesaje cu un vânzător, la 3 zile după primul său răspuns te întrebăm prin e-mail – cel mult o dată pentru fiecare conversație și fiecare vânzător – cum a fost experiența cu el; pentru aceasta păstrăm momentul în care am trimis solicitarea. Nu primești un astfel de e-mail dacă ai evaluat deja vânzătorul sau l-ai blocat. Temei juridic: interes legitim (f) – evaluări bazate pe experiențe reale, pentru informarea cumpărătorilor. Te poți dezabona oricând prin linkul din e-mail sau în Profil, în fila „Mesaje”. Media și numărul evaluărilor unui vânzător apar și în listele de anunțuri, în dreptul anunțurilor sale.

Anunțuri văzute. Dacă deschizi un anunț când ești autentificat, păstrăm în contul tău identificatorul anunțului și momentul deschiderii, ca să îl marcăm în liste cu „Văzut” – pe oricare dintre dispozitivele tale. Temei juridic: interes legitim (f) – ușurarea căutării. Păstrare: 180 de zile (sau până la ștergerea contului ori a anunțului, dacă aceasta are loc mai devreme); poți șterge oricând istoricul în profil, în fila „Favoritele mele”. Fără autentificare, marcajul se păstrează doar în browserul tău, dacă accepți cookie-urile funcționale (vezi Politica de cookie-uri).

Moderare. Fiecare anunț este aprobat de un angajat; la respingere/eliminare înregistrăm motivul, observația și momentul și îl informăm pe anunțător prin e-mail. Temei: obligație legală (c) (art. 16–17 DSA) și interes legitim (f) privind integritatea Platformei. Păstrare: până la ștergerea anunțului.

Traducere automată. Descrierea anunțului o traducem cu un program de traducere care rulează pe serverul nostru; textul nu ajunge la terți. Traducerea se șterge odată cu anunțul.

6. Mesaje

Scop: comunicarea dintre utilizatori despre anunțuri. Date: participanții, anunțul, textul și ora mesajelor, fotografiile realizate cu camera (pe un spațiu de stocare separat, nepublic, accesibil doar celor două părți), momentul livrării și al citirii (expeditorul vede „Trimis / Livrat / Văzut”; din acestea se poate deduce când ai fost activ), blocările. Temei: executarea contractului (b). Păstrare: conversația (cu fotografiile) se șterge după 12 luni de la ultimul mesaj; la ștergerea contului, imediat. Copia de arhivă a conversațiilor aferente unui anunț sau cont șters se păstrează încă 12 luni, potrivit punctului 10/A.

Consultare. Un angajat poate consulta o conversație numai pentru investigarea unui abuz, a unei suspiciuni de fraudă sau a unei plângeri; fiecare consultare este înregistrată (cine, când), iar jurnalul se șterge odată cu conversația. Temei: interes legitim (f) – protecția utilizatorilor împotriva fraudelor.

Traducere automată. Dacă mesajul este scris în altă limbă decât limba destinatarului (limba site-ului de țară pe care s-a înregistrat), îl traducem în limba destinatarului cu programul de traducere de pe serverul nostru; textul nu ajunge la terți. Destinatarul vede traducerea cu mențiunea „Traducere automată”, întotdeauna împreună cu mesajul original, iar expeditorul vede că mesajul său a fost trimis tradus. Traducerea se șterge odată cu mesajul; în copia de arhivă de la punctul 10/A apare lângă mesaj.

Notificări. Pentru un mesaj nou trimitem e-mail și – dacă ai permis în browser – notificare push. Pentru notificarea push stocăm adresa de notificare a browserului (endpoint), cheile, limba și tipul acestuia; conținutul este doar: „Ai primit un mesaj!” și un link. Notificarea push este livrată de furnizorul browserului tău (Google, Mozilla, Microsoft, Apple). Temei: executarea contractului (b), iar pentru notificarea push permisiunea dată în browser. Notificările pot fi dezactivate din profil; abonarea push durează până la dezactivare sau până la dispariția browserului.

6/A. Închirieri auto

În cadrul serviciului Închirieri auto (punctul 14/B din Termeni) prelucrăm datele proprietarului și ale chiriașului după cum urmează. Nu suntem parte la contractul de închiriere; părțile primesc datele celeilalte părți după acceptare, pentru derularea închirierii, pe propria răspundere.

Date	Scop	Temei juridic	Păstrare
Cererea de rezervare (perioada, vehiculul, opțiunile suplimentare, locul de preluare, mesajul, calculul prețului), modificările de stare	Derularea rezervării între părți	Executarea contractului (art. 6 alin. (1) lit. b) GDPR)	2 ani de la încheierea închirierii, apoi ștergere
Numele, numărul de telefon și adresa de e-mail ale celeilalte părți	Comunicarea dintre părți după acceptare	Executarea contractului (b)	Împreună cu rezervarea
Procesul-verbal de predare-primire: fotografiile (realizate cu camera Platformei), kilometrajul, nivelul de combustibil, observațiile	Documentarea stării vehiculului, probă în caz de litigiu	Interesul legitim al părților (f)	Fotografiile 180 de zile după încheierea închirierii (în cazul unei semnalări de problemă deschise, până la închiderea acesteia), datele împreună cu rezervarea
Semnalarea de problemă	Protecție împotriva fraudei, gestionarea încălcărilor regulilor	Interes legitim (f), Regulamentul (UE) 2022/2065 (DSA)	Împreună cu rezervarea
Evaluarea reciprocă	Încredere	Interes legitim (f)	Potrivit regulilor privind evaluările (punctul 5, „Evaluări”)
Cererea de ofertă pentru închiriere pe termen lung, cererea de închiriere, ofertele primite la acestea	Intermedierea ofertelor	Executarea contractului (b)	1 an de la închidere
Adresa iCal a calendarului propriu al proprietarului și perioadele ocupate preluate din acesta	Preluarea zilelor ocupate	Executarea contractului (b)	Până la ștergerea setării
Urmărirea unui proprietar, căutarea de închiriere salvată	Notificare zilnică despre vehiculele noi	Consimțământ (a) – activarea funcției; poate fi retras cu un clic din e-mail	Până la ștergere
Codul de recomandare și faptul recomandării	Acordarea recompensei de recomandare	Executarea contractului (b)	Până la ștergerea contului

Fotografiile procesului-verbal sunt stocate pe un spațiu de stocare nepublic și nu au adresă publică; au acces la ele doar cele două părți și, în caz de litigiu, un angajat al nostru (cu înregistrarea accesului). Fereastra de rezervare încorporabilă (pe site-ul proprietarului) nu plasează cookie-uri și nu rulează analize. Dacă un vehicul de închiriat sau un cont este șters, rezervările, semnalările și procesele-verbale aferente sunt păstrate în arhiva pentru autorități de la punctul 10/A. Pentru Închirieri auto nu recurgem la nicio persoană împuternicită nouă; harta (Google Maps) funcționează în condițiile existente.

6/B. Consultanți

În cadrul serviciului Consultanți (Termeni, punctul 14/C), prelucrăm datele consultantului astfel. Nu suntem parte la contractul dintre consultant și clientul său; pentru mesaje se aplică punctul 6.

Date	Scop	Temei juridic	Păstrare
Datele publice ale profilului: numele de pe card, denumirea firmei, poza de profil, prezentarea, fotografiile cu lucrări, serviciile, prețurile și comisionul, localitatea și zona de activitate, limbile, numărul de telefon și intervalul de apel, site-ul, numărul de înregistrare, pregătirea profesională, povestea de prezentare, evaluările	Prezentarea consultantului pe pagina Consultanți și la anunțuri	Executarea contractului (art. 6 alin. (1) lit. b GDPR)	Până la ștergerea profilului
Codul fiscal, adresa de e-mail (nepublice)	Verificarea firmei înainte de aprobare, comunicare	Executarea contractului; interes legitim în prevenirea înșelăciunii (art. 6 alin. (1) lit. b și f GDPR)	Până la ștergerea profilului
Aprobarea, respingerea, suspendarea și motivarea lor	Comunicarea deciziei, soluționarea contestațiilor (Termeni, punctul 9)	Obligație legală (DSA), interes legitim	Potrivit punctului 10/A
Solicitarea unui apel înapoi: numărul de telefon indicat de client, intervalul de apel și nota	Transmiterea către consultant, ca să sune clientul	Solicitarea clientului, executarea contractului (art. 6 alin. (1) lit. b GDPR)	Ca mesaj, potrivit punctului 6
Cifre agregate despre profil (afișări, vizualizări, clicuri, afișări ale numărului, conversații noi)	Statistici pentru consultant	Executarea contractului	Până la ștergerea profilului; nu identifică vizitatorii

7. Oferte de schimb, cereri de vizionare, raportări, evaluări

7.1. Oferta de schimb. Date: datele vehiculului oferit, seria de șasiu, cel mult 6 fotografii, link video, numele proprietarului, numele, e-mailul, telefonul și mesajul celui care face oferta. Destinatar: autorul anunțului (i-o transmitem prin e-mail). Acesta vede oferta și în profilul său, unde o poate accepta sau refuza, chiar și cu un scurt mesaj; despre decizia sa (și despre mesajul său) îi trimitem un e-mail celui care a făcut oferta. Dacă ai trimis oferta în timp ce erai autentificat, aceasta este legată de contul tău și o vezi, împreună cu răspunsul, în profil. Fotografiile sunt accesibile la o adresă aleatorie, care nu poate fi căutată. Temei: efectuarea, la cererea ta, a unor demersuri înainte de încheierea unui contract (b). Păstrare: 6 luni (sau până la ștergerea anunțului, dacă aceasta are loc mai devreme).

7.2. Cerere de vizionare, solicitare de informații. Date: nume, e-mail, telefon (opțional), data dorită, mesaj. Destinatar: anunțătorul (la anunțurile fără proprietar, Operatorul). Temei: (b). Păstrare: 6 luni (sau până la ștergerea anunțului).

7.3. Raportarea unui anunț. Date: motivul și descrierea raportării, identificatorul de utilizator al celui care raportează (dacă era autentificat), respectiv un identificator criptat, ireversibil (nu stocăm adresa IP brută), pentru verificare Cloudflare Turnstile. Celui care raportează autentificat îi trimitem confirmare și informare despre decizie prin e-mail. Temei: obligație legală (c) (art. 16 DSA) și interes legitim (f). Păstrare: până la ștergerea anunțului.

7.4. Pagina de partener și evaluările. Datele paginii de partener (nume, adresă, telefon, e-mail, site, program, imagini, servicii) sunt publice potrivit deciziei partenerului; păstrare: până la ștergerea partenerului. Temei: (b). Despre evaluări (cine le poate scrie, ce este public, reacția celui evaluat, păstrarea) vezi paragraful „Evaluări” de la punctul 5.

7.5. Contact (formular, e-mail). Date: nume, e-mail, telefon, subiect, mesaj, anunțul vizat, precum și răspunsul nostru. Temei: interes legitim (f), respectiv, pentru chestiuni contractuale, (b). Păstrare: 1 an de la ultima acțiune; dacă solicitarea este o reclamație a unui consumator, reclamația și răspunsul le păstrăm 3 ani (obligație legală (c)).

8. Abonament, plată, facturare

Scop: comanda pachetului, încasarea prețului, reînnoirea, emiterea facturii, stabilirea TVA-ului corect, respectarea drepturilor consumatorilor (de ex. retragerea). Date: numele de facturare (la persoane fizice numele complet, la firme denumirea și persoana de contact), țara, codul de TVA sau codul fiscal (la firme), adresa de facturare, e-mail; pachetul, perioada, suma, cuponul; declarațiile făcute la comandă (Termeni, reînnoire, la consumatori solicitarea începerii imediate, la SimplePay transmiterea datelor) și versiunea Termenilor; regimul de TVA aplicat și, la taxarea inversă, numărul consultării VIES; identificatorii plății; la Stripe, tipul cardului, ultimele 4 cifre și data expirării (numărul complet al cardului nu îl primim niciodată). Temei: executarea contractului (b); emiterea și păstrarea facturii și stabilirea TVA-ului sunt obligații legale (c) (legislația maghiară privind TVA și contabilitatea, precum și Directiva 2006/112/CE). Păstrare: datele de abonament și de plată până la ștergerea contului; datele de facturare ale unei comenzi neplătite (abandonate) le ștergem după 30 de zile; facturile le păstrăm 8 ani, apoi le ștergem.

Verificarea codului fiscal. La cumpărarea ca firmă verificăm codul de TVA indicat în sistemul VIES al Comisiei Europene (care interoghează autoritatea fiscală a statului respectiv), pentru a stabili dacă se aplică taxarea inversă; pentru firmele din România, pentru completarea formularului, interogăm și registrul public al ANAF (denumirea și sediul firmei). Pentru firmele din Ungaria, datele sunt interogate din registrul public al autorității fiscale maghiare (NAV), prin serviciul Számlázz.hu. Transmitem doar codul fiscal (și, la VIES, codul nostru de TVA, pentru numărul consultării).

Datele transmise furnizorilor de plăți:

• SimplePay (SimplePay Zrt., 1138 Budapesta, Váci út 135–139, clădirea B, et. 5, Ungaria): adresa de e-mail, numele și adresa de facturare, identificatorul, suma comenzii și denumirea pachetului – pe baza declarației privind transmiterea datelor acceptate expres la plată, în calitate de persoană împuternicită. Politica sa: simplepay.hu/adatkezelesi-tajekoztatok.
• Revolut (Revolut Bank UAB, Konstitucijos ave. 21B, 08130 Vilnius, Lituania): adresa de e-mail, numele de facturare, identificatorul, suma comenzii și denumirea pachetului. Datele cardului sau ale contului Revolut le introduci direct pe pagina Revolut; în ceea ce privește plata, Revolut este operator de date independent (nota sa de informare privind protecția datelor este disponibilă pe pagina de plată).
• Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda): adresa de e-mail și identificatori interni (utilizator, pachet); cardul este salvat de Stripe pentru reînnoirea automată.
• La transfer bancar, factura proformă este emisă din sistemul Számlázz.hu; banca prelucrează transferul tău potrivit propriilor reguli.

9. Newsletter

Date: nume, e-mail, momentul și locul abonării (formular/înregistrare), momentul confirmării, momentul dezabonării. Abonarea o confirmi prin e-mail (dublă confirmare). Temei: consimțământ (a). Păstrare: până la dezabonare; faptul dezabonării (cu adresa de e-mail) îl păstrăm, ca să nu mai trimitem mesaje; abonarea neconfirmată în 30 de zile o ștergem. Te poți dezabona din subsolul oricărui mesaj sau prin e-mail. În prezent nu trimitem newslettere; dacă vom începe, vom indica în prealabil în această politică furnizorul de e-mail folosit.

9/A. Căutări salvate și notificări de scădere a prețului

Dacă salvezi o căutare când ești autentificat, păstrăm numele ei, filtrele, site-ul pe care ai salvat-o, cât de des vrei să primești notificări (imediat, zilnic sau săptămânal), dacă este activă și despre ce anunțuri te-am notificat deja. Dacă adaugi un anunț la favorite, păstrăm ultimul preț cunoscut al acestuia, ca să te putem anunța când scade, iar în contul tău păstrăm și opțiunea ta privind notificările de scădere a prețului. Despre acestea îți trimitem e-mailuri și – dacă ai permis acest lucru în browser – notificări push, care conțin numele căutării, respectiv titlul anunțului. Temei: executarea contractului (b) – serviciul îl soliciți tu și îl poți dezactiva oricând. Păstrare: căutarea salvată și favoritul până când le ștergi, cel târziu până la ștergerea contului; informația despre ce anunțuri ți-a semnalat deja o căutare, cel mult 180 de zile. Fiecare astfel de e-mail conține un link de dezabonare; căutările salvate le gestionezi în profil, în fila „Căutări salvate”, iar notificările de scădere a prețului în fila „Favoritele mele”.

10. Copii de siguranță

Pentru protecția împotriva pierderii datelor (interes legitim (f), art. 32 GDPR) se realizează copii de siguranță criptate ale întregii baze de date și ale fișierelor încărcate: pe server, baza de date 3 zile, fișierele 14 zile, configurația 30 de zile; pe Google Drive (criptate AES-256, ilizibile pentru Google) 21 de zile; pe calculatorul propriu al Operatorului, criptate, ultimele 7 copii zilnice. Datele șterse dispar și din copii la expirarea acestor termene.

10/A. Jurnalul de evenimente și arhiva pentru autorități

Scop: răspunsul la solicitările autorităților (poliție, autoritate fiscală, protecția consumatorilor) și ale instanțelor, sprijinirea descoperirii abuzurilor și fraudelor comise pe Platformă (de exemplu fraude cu avans sau arvună), constatarea, exercitarea și apărarea unor drepturi în instanță.

Jurnalul de evenimente. Înregistrăm publicarea, modificarea (cu valoarea anterioară și cea nouă), schimbarea stării și ștergerea anunțurilor; înregistrarea, autentificarea (și încercarea nereușită), modificarea datelor contului (parola nu, doar faptul modificării) și ștergerea contului; precum și trimiterea mesajelor. Pentru fiecare eveniment: momentul (la milisecundă), autorul (utilizator, administrator sau sistemul), adresa IP, tipul browserului și al dispozitivului (user agent), setarea de limbă a browserului, site-ul de țară, precum și datele de localizare aproximative estimate de Cloudflare pe baza adresei IP (țară, regiune, localitate, cod poștal, coordonată geografică, fus orar). Nu realizăm amprente ale dispozitivului și nu solicităm localizarea dispozitivului tău. Păstrare: 12 luni de la eveniment.

Arhiva pentru autorități. La ștergerea unui anunț sau a unui cont – fie că o faci tu, noi sau automat – se realizează o copie de arhivă a datelor existente în acel moment: toate datele anunțului, imaginile (comprimate), documentele încărcate, datele anunțătorului, jurnalul de evenimente, raportările, ofertele de schimb, cererile de vizionare și conversațiile aferente anunțului; la ștergerea contului, datele contului, pagina de partener, datele abonamentelor și ale facturilor și toate conversațiile contului (inclusiv mesajele interlocutorului). Datele păstrate „până la ștergere” conform punctelor 5–7 rămân astfel în arhivă încă 12 luni după ștergere. Din arhivă se generează o fișă PDF, criptată cu parolă (AES-256), cu amprentă digitală și marcă temporală independentă, stocată și pe Google Drive. La arhivă are acces doar conducătorul Operatorului, cu autentificare în doi pași; fiecare consultare și descărcare este înregistrată (jurnal păstrat 24 de luni). Arhiva o transmitem poliției, altei autorități sau instanței numai pe baza unei solicitări întemeiate pe lege, cu proces-verbal de predare; evidența predărilor o păstrăm 5 ani. Păstrare: 12 luni de la ștergere, apoi se șterge automat (și de pe Google Drive); dacă o autoritate solicită păstrarea datelor (de exemplu într-un proces penal), datele indicate le păstrăm până la finalizarea procedurii.

Temei: interes legitim (f) – protecția utilizatorilor împotriva fraudelor, posibilitatea de a răspunde solicitărilor autorităților și apărarea drepturilor; la executarea unei obligații de păstrare sau a unei solicitări de date a autorităților, obligație legală (c). Rezultatul evaluării interesului legitim îl trimitem la cerere; te poți opune prelucrării (punctul 13).

11. Persoane împuternicite și destinatari

Destinatar	Activitate	Date vizate
Hostinger International Ltd. (61 Lordou Vironos Street, 6023 Larnaca, Cipru)	Găzduire (server în Uniunea Europeană)	Toate datele stocate pe Platformă
Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, SUA)	Livrarea conținutului, protecție, DNS, verificare anti-robot (Turnstile), localizare aproximativă pe baza adresei IP (punctul 10/A)	Adresa IP, datele cererii; la Turnstile, tokenul de verificare
Resend (Plus Five Five, Inc., SUA)	Livrarea e-mailurilor de sistem	Adresa de e-mail, numele, conținutul mesajului
Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irlanda) și Google LLC	Hărți și căutarea adreselor; statistici și măsurarea evenimentelor (Analytics, cu consimțământ); măsurarea reclamelor și remarketing (Google Ads, numai cu consimțământul pentru marketing – punctul 3.6); autentificare Google; Google Translate (cu consimțământ); contul de e-mail al Operatorului (Gmail); copii de siguranță criptate și stocarea fișelor pentru autorități (Google Drive)	Adresa IP, datele browserului, adresa introdusă; date de vizitare și de evenimente pseudonimizate, la achiziție suma (cu consimțământul pentru marketing și adresa de e-mail hash-uită); datele contului Google; mesajele trimise nouă; fișiere de siguranță criptate și fișe PDF criptate cu parolă
DigiCert, Inc. (SUA)	Marcă temporală independentă pentru fișele pentru autorități (punctul 10/A)	Exclusiv amprenta digitală (SHA-256) a PDF-ului – nu primește date personale
KBOSS.hu Kft. (Számlázz.hu, 1031 Budapesta, Záhony utca 7, Ungaria)	Emiterea și trimiterea prin e-mail a facturilor și facturilor proforme; interogarea codurilor fiscale maghiare	Numele, adresa, codul fiscal, e-mailul de facturare, articolele
Comisia Europeană (VIES) și autoritățile fiscale ale statelor membre; ANAF (registrul public)	Verificarea codului de TVA; completarea datelor firmelor din România	Codul de TVA / codul fiscal al firmei
Autoritatea fiscală maghiară (NAV)	Raportarea datelor facturilor (obligație legală); declarația OSS a TVA-ului datorat în alte state membre	Datele facturii
Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, D04 X2K5, Irlanda) și Meta Platforms, Inc. (SUA)	Măsurarea reclamelor și remarketing (pixelul Meta, Conversions API; numai cu consimțământ, în calitate de operator asociat – punctul 3.5)	Datele browserului și ale dispozitivului, adresa IP, pagina accesată, evenimente; la achiziție, adresa de e-mail, numărul de telefon, numele și identificatorul de client sub formă de hash, precum și suma
SimplePay Zrt., Revolut Bank UAB, Stripe Payments Europe Ltd.	Plata cu cardul (punctul 8)	Potrivit punctului 8
Furnizorii push ai browserelor (Google, Mozilla, Microsoft, Apple)	Livrarea notificărilor push	Adresa de notificare, notificarea criptată
Contabil	Îndeplinirea obligațiilor contabile și fiscale	Datele facturilor
Autorități, instanțe	În cazul unei solicitări întemeiate pe lege	Datele indicate în solicitare

Transferuri către țări terțe (SUA): grupurile Cloudflare, Google, Meta, Resend și Stripe includ și societăți americane. Transferul se face pe baza deciziei de adecvare privind Cadrul UE–SUA pentru protecția datelor (la societățile certificate), respectiv a clauzelor contractuale standard ale Comisiei Europene (art. 46 GDPR).

12. Securitatea datelor

Datele sunt transmise prin conexiune criptată (HTTPS); parolele sunt stocate în formă ireversibilă; fișierele nepublice (fotografiile din mesaje, actele, facturile) se află pe un spațiu de stocare separat, neaccesibil public; interfața de administrare este protejată prin autentificare în doi pași, iar autentificarea în doi pași este disponibilă, opțional, și pentru conturile utilizatorilor; consultarea conversațiilor și fiecare consultare a arhivei pentru autorități sunt înregistrate, iar fișele PDF de arhivă sunt criptate cu parolă; serverul este accesibil doar pe porturile necesare; copiile de siguranță sunt criptate. În cazul unei încălcări a securității datelor, o notificăm autorității de supraveghere în 72 de ore, iar dacă prezintă un risc ridicat, îi informăm și pe cei vizați.

13. Drepturile tale

• Dreptul de acces (art. 15 GDPR): poți cere informații și o copie a datelor prelucrate despre tine.
• Dreptul la rectificare (art. 16): majoritatea datelor le poți corecta singur, în profil.
• Dreptul la ștergere (art. 17): contul îl poți șterge oricând din profil; ștergerea unor date o poți cere și prin e-mail (cu excepția celor pe care trebuie să le păstrăm din obligație legală, de ex. facturile).
• Dreptul la restricționarea prelucrării (art. 18).
• Dreptul la portabilitatea datelor (art. 20): datele furnizate de tine și prelucrate în baza contractului ți le dăm într-un format care poate fi citit automat.
• Dreptul la opoziție (art. 21): împotriva prelucrării bazate pe interesul legitim.
• Retragerea consimțământului: pentru cookie-uri, prin linkul „Setări cookie-uri” din subsolul paginii; pentru newsletter, prin dezabonare; pentru notificările push, din profil sau din browser.

Cererea o poți trimite la swapgroupkft@gmail.com, în limba română, maghiară sau engleză. Răspundem în cel mult o lună (în cazuri justificate, termenul se poate prelungi cu încă două luni, despre care te informăm). Soluționarea cererii este gratuită. În caz de îndoială, îți putem cere confirmarea identității.

14. Dreptul de a depune plângere

Dacă consideri că ți-am încălcat drepturile privind protecția datelor, te rugăm să ne contactezi mai întâi. Ai dreptul să depui plângere la autoritatea de supraveghere din statul membru al reședinței tale obișnuite, al locului de muncă sau al locului presupusei încălcări (art. 77 GDPR). În România: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28–30, sector 1, cod poștal 010336, București; e-mail: anspdcp@dataprotection.ro; dataprotection.ro. Autoritatea de supraveghere principală a Operatorului este Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH), 1055 Budapesta, Falk Miksa utca 9–11, Ungaria; e-mail: ugyfelszolgalat@naih.hu; naih.hu. Te poți adresa și instanței competente.

15. Minori

Serviciile Platformei care necesită înregistrare pot fi folosite de persoane care au împlinit 18 ani. Dacă aflăm că s-a înregistrat o persoană sub 18 ani, ștergem contul.

16. Modificarea politicii

Modificăm politica atunci când se schimbă prelucrările; despre modificările importante îi informăm și prin e-mail pe utilizatorii înregistrați. Versiunea în vigoare poate fi consultată oricând pe această pagină.